Fragen zu NAS, Radius und verschiedenen Authentifizierungsmöglichkeiten

Hallo Zusammen,

ich bin gerade an meinem RADIUS-Server als Projektarbeit dran.
Dazu habe ich mir viele Informationen zusammengesucht.
Für das Projekt benutze ich FreeRadius 1.1 und ein SLES 10.1

Zur Planung:
Der Server soll Clients, die sich per WLAN verbinden wollen gegen LDAP authentifizieren und bei vorhandenen Benutzerdaten schlussendlich zulassen.
Für LAN gibts ja so gesehen nur die ZwischeiInstanz den Switch(HP mit vielen tollen Funktionen).

Jetzt kamen bei der Informationsbeschaffung und den ersten Schritten, sowie Planungen Fragen auf.

Hat jemand für mich ein paar Tipps, wie ich den / die Switche mit dem Radius verbinde?
Ich habe flüchtig etwas über eine Möglichkeit mit EAP gelesen und auch in dem Radius-Softwarepaket eine eap.conf vernommen.

Die WLAN-Accesspoints werden ja in der clients.conf festgehalten. Müssten die Switche auch dort festgehalten werden?

Bei der Informationsbeschaffung fiel auch sehr oft der NAS (Network Access Server). Bisher konnte nicht nicht all zu viel über einen NAS in Erfahrung bringen können.
Wozu könnte ich den NAS in so einem Radius-Netzwerk verwenden?

Gruß
Steph

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 105983

Url: https://administrator.de/forum/fragen-zu-nas-radius-und-verschiedenen-authentifizierungsmoeglichkeiten-105983.html

Ausgedruckt am: 23.12.2024 um 09:12 Uhr

1 Kommentar

Ja, alle Geräte die eine Radius Authentifizierung nutzen müssen in der clients.conf konfiguriert werden, damit der Radius Server Requests von diesen Geräten annimmt, was er sonst nicht tut.

Du kannst dir das Leben aber einfach machen und auch ein ganzes Netzwerk oder Bereiche (Je nach angegeben Maske) freigeben !

Beispiel

#
client 192.168.1.254/24 {
        secret      = Geheim
        shortname   = netzwerk
}

Erlaubt Radius Authentifizierungen vom Host 192.168.1.254 wobei Geheim das Radius Passwort ist !

#
client 192.168.1.0/24 {
        secret          = Geheim
        shortname       = netzwerk
}

akzeptiert Anfragen aus dem gesamten Netzwerk 192.168.1.0 frei wenn alle Geräte das PW Geheim benutzen.

Hast du einen Switch sieht die Datei users für eine 802.1x Port Authentifizierung so aus:

#
Willi Auth-Type := EAP, User-Password == "Geheim"  
#

Das erlaubt den User Willi den Zugriff auf diesem Port.
Willst du Willi dynamisch ein bestimmtes VLAN zuweisen (Hier VLAN 10 als Beispiel) am Switch dann sieht das so aus:

#
Willi Auth-Type := EAP, User-Password == "Geheim"  
Tunnel-Type = 13,
Tunnel-Medium-Type = 6,
Tunnel-Private-Group-Id = 10
#

Je nach Switch oder Accesspoint Featureset kann man noch weitere Dinge übergeben wie Accesslisten usw.

Wenn du den Freeradius mit radiusd -X startest kannst du zusehen wie er authentifiziert (Debugging Modus)
Damit lassen sich dann blitzschnell Probleme und Fehlkonfigurationen an Clients entdecken und beheben !

Was dann z.B. auf einem Switch (Beispiel HP 2900) eingestellt werden muss kannst du hier nachlesen:

http://cdn.procurve.com/training/Manuals/2900-ASG-Jan08-9-8021X.pdf

Frage Sicherheit Sicherheitstools

Heiß diskutiert